Fargateでnginxコンテナに読専設定したい

Question

前提・実現したいこと

AWS Fargate ECS を利用して、Webサービスの構築検証を行っています。

nginxコンテナとphp-fpmコンテナを準備する中で、稼働タスク内ファイルの改ざん予防のため、
nginxコンテナをタスク定義で読み取り専用を設定したく考えています。

読み取り専用設定を行わずにタスク起動した場合は、正常にタスクは稼働できてますが、
読み取り専用設定を行い稼働するとnginxコンテナ内で/var/cache/nginx/client_tempディレクトリ配下への書き込みが発生し、エラーを吐いてタスクが終了してしまう状況です。

タスクが落ちないようにする解決策を検討しております。

エラーメッセージ

{"date":"2021-01-21T08:12:10.783869Z","log":
"2021/01/21 08:12:10 [emerg] 1#1: mkdir() \"/var/cache/nginx/client_temp\" failed (30: Read-only filesystem)",
"container_id":"********",
"container_name":"********",
"source":"stderr",
"ecs_cluster":"********",
"ecs_task_arn":"********",
"ecs_task_definition":"********:**"}

試したこと

対応としては下のどれかにはなるかと思うのですが、良い情報や解決策を見つけられておりません。

• ElasticFileSystem(EFS)マウント
• s3マウント
• nginxやphp-fpmでキャッシュファイルなど生成しないように設定(?)
• そもそも無理なので、改ざんの監視をコンテナ外から実施

解決策や情報など何かあれば教えてほしいです。
よろしくお願いいたします。

Answer 1

自分で試したことがないのでうまくいくかはわかりませんが、何らかのボリュームマウントによって対処することになりそうです。
注意として、S3はマウントして使うものだとは基本的に思わないほうがいいでしょう。

参考
書き込みが必要なDockerコンテナをReadOnlyで動かせるようにする
タスクでのデータボリュームの使用

Comments

[maynet]

ありがとうございます。

ご指摘いただきました通り、s3とEFSはレスポンス考えると極力避けたいと
考えておりました。

URL、参考にさせていただきます、ありがとうございます。